C’est quoi le piratage ?

Le piratage est un ensemble de techniques visant à mettre à mal des appareils numériques et connectés, comme les ordinateurs, les smartphones, les tablettes, les montres et même des réseaux complets. Et bien que le piratage n’ait pas toujours lieu à des fins malveillantes, on le définit comme une activité illégale pratiquée par des cybercriminels motivés par le gain financier, la contestation politique, l’espionnage et même simplement par goût du défi ou besoin de reconnaissance de la part de ses pairs.

Dans l’inconscient collectif, le pirate informatique (ou hacker, en anglais) est un petit génie autodidacte ou un programmeur méchant capable de détourner des matériels et des logiciels de leur objectif initial. Mais il ne s’agit là que d’une minorité des pirates.

Vous l’aurez compris, le piratage nécessite des connaissances techniques. Mais les pirates peuvent également utiliser la psychologie pour inciter l’utilisateur à cliquer sur une pièce jointe malveillante ou à fournir ses données personnelles. Ces méthodes découlent de l’« ingénierie sociale ». L’ingénierie sociale (social engineering) recouvre l’ensemble des méthodes utilisées par les cybercriminels pour que leur victime baisse la garde et ouvre le pont-levis d’accès à la forteresse ou encore communique des informations confidentielles à leur sujet. De nombreuses techniques visent cet objectif, au nombre desquelles la manipulation mentale. Séduire les victimes en faisant appel à leurs émotions, leur empathie, leur appétit pour le gain, leur orgueil.

Le piratage est passé de loisir d’adolescents désœuvrés à une industrie, structurée, florissante, qui brasse des centaines de millions de dollars.

Les cadres de cette entreprise dévoyée ont établi une infrastructure criminelle qui développe et vend des outils de piratage clé en main à des escrocs en devenir dotés de compétences techniques moins sophistiquées (connus sous le nom de « script kiddies » (les enfants du codage) – pirates avec peu ou pas de compétence de codage).

Dans un autre exemple, les utilisateurs Windows sont la cible d’une attaque cybercriminelle de grande envergure qui offre un accès à distance aux systèmes informatiques pour seulement 10 dollars via une boutique consacrée au piratage sur le Dark Web, ce qui peut potentiellement permettre aux malfaiteurs de voler des informations, perturber les systèmes, déployer des ransomwares, etc. Les propriétaires des boutiques offrent même des conseils pour utiliser des identifiants illicites et rester indétectables.

Les types de piratage

De manière générale, on peut dire que les pirates essaient de pénétrer dans les ordinateurs et les réseaux pour l’une des 5 raisons suivantes :

• Le gain financier de nature criminelle, soit le vol de numéros de cartes de crédit ou la violation des systèmes bancaires.
• Ensuite, acquérir une crédibilité et améliorer sa réputation au sein de la sous-culture des hackers en motive certains qui laissent leur empreinte sur les sites Internet qu’ils pillent comme preuve qu’ils ont réussi leur mission.
• Après cela, il y a l’espionnage d’entreprise, quand les pirates informatiques d’une entreprise cherchent à voler des informations sur les produits et les services d’un concurrent pour obtenir un avantage sur le marché.
• Des nations entières se livrent à des actes de piratage soutenus par des États en vue de voler des renseignements commerciaux ou nationaux, déstabiliser l’infrastructure de leurs adversaires ou même semer la discorde et la confusion dans le pays cible. (Il existe un consensus qui veut que la Chine et la Russie aient effectué ce genre d’attaques, notamment une sur le site Forbes.com.
• Le pirate informatique qui a des motivations politiques ou sociales. Ce genre d’activistes-pirates (ou « hacktivists » en anglais) cherchent à attirer sensibiliser le public à un problème en jetant une lumière peu flatteuse sur la cible, généralement en rendant publiques des informations sensibles. Pour découvrir des groupes d’activistes-pirates, ainsi que leurs activités les plus célèbres, consultez Anonymous, WikiLeaks et LulzSec.

Si un pirate informatique est une personne qui possède une connaissance approfondie des systèmes informatiques et des logiciels, et qui utilise cette connaissance pour subvertir d’une manière ou d’une autre cette technologie, alors un pirate malfaisant le fait pour voler quelque chose de valeur ou pour d’autres raisons malveillantes. Par conséquent, il est raisonnable d’attribuer une ou plusieurs de ces 5 motivations (vol, réputation, espionnage d’entreprise et piratage d’État-nation) à ce qu’on appelle les « chapeaux noirs ».

D’un autre côté, les pirates à « chapeaux blancs », s’efforcent d’améliorer l’efficacité des systèmes de sécurité d’une organisation en trouvant des failles afin de pouvoir empêcher le vol d’identité ou d’autres cybercrimes avant que les chapeaux noirs ne s’y engouffrent. Les grandes entreprises emploient même leurs propres pirates à chapeaux blancs au sein de leur équipe d’assistance technique. Nos entreprises peuvent même sous-traiter leurs pirates à chapeaux blancs à des services tels que HackerOne, qui teste les logiciels pour y trouver des vulnérabilités et des bugs moyennant rémunération.

Enfin, il y a cette foule de pirates informatiques à « chapeaux gris », qui utilisent leurs compétences pour pénétrer dans les systèmes et réseaux sans autorisation (comme les chapeaux noirs). Mais au lieu de semer le chaos à grande échelle, ils peuvent signaler leur découverte à la personne ciblée et offrir de réparer les vulnérabilités contre rétribution.

Piratage des téléphones Android

Alors que la majeure partie du piratage cible des ordinateurs Windows, le système d’exploitation Android est également une cible de choix pour les pirates informatiques.

Les premiers pirates informatiques qui ont exploré les méthodes low-tech pour contourner les réseaux de télécommunication sécurisés (et les appels longue distance coûteux de leur époque) étaient à l’origine appelés phreaks – une combinaison des mots « phone » (téléphone) et « freaks » (fous). Ils appartenaient à une sous-culture définie dans les années 70, et leur activité était appelée le piratage téléphonique (phreaking).

De nos jours, ces pirates téléphoniques ont quitté l’ère de la technologie analogique pour devenir des pirates informatiques dans un monde numérique de plus de 2 milliards d’appareils mobiles. Les pirates de téléphones mobiles utilisent de nombreuses méthodes pour accéder au téléphone d’une personne et intercepter ses messages vocaux, ses appels, ses SMS et même le micro et la caméra du téléphone, tout cela sans que l’utilisateur l’y autorise voire même ne s’en rende compte.

Par rapport aux iPhones, les téléphones Android sont beaucoup plus vulnérables, avec une nature en open-source et des incohérences en termes de développement logiciel qui les exposent à un risque accru de corruption et de vol de données. Les cybercriminels peuvent voir les données stockées sur le téléphone, notamment les informations d’identité et financières. De la même façon, les pirates informatiques peuvent suivre votre situation géographique (géolocalisation), forcer votre téléphone à envoyer des SMS à des correspondants ou même propager un lien malveillant intégré, à d’autres personnes parmi vos contacts, qui cliqueront dessus en croyant qu’il vient de vous.

Sur demande d’un magistrat, en France, les forces de l’ordre peuvent être mandatées pour surveiller des téléphones, stocker des copies de SMS et d’e-mails, transcrire des conversations privées ou suivre les mouvements d’un suspect. Mais ceci relève plus de la surveillance légitime que du piratage.

Les pirates de téléphones ont l’avantage de disposer de nombreuses techniques de piratage d’ordinateurs, qui sont simples à adapter aux appareils Android. L’hameçonnage, (« phishing » en anglais) l’activité criminelle qui consiste à cibler des individus ou des membres d’organisations pour les inciter à dévoiler des informations sensibles via l’ingénierie sociale, est une méthode redoutable. En fait, parce qu’un téléphone affiche une barre d’adresse beaucoup plus petite qu’un PC, l’hameçonnage sur un navigateur Internet mobile facilite probablement la contrefaçon d’un site Web apparemment fiable sans afficher les signes subtils (comme les fautes d’orthographe intentionnelles ou les URLs fantaisistes) que vous pouvez déceler sur un navigateur de bureau. Alors, vous recevez un message supposément de votre banque vous demandant de vous connecter pour résoudre un problème urgent, cliquez sur le lien fourni, saisissez vos identifiants sur le formulaire, et le piège se referme sur vous.

Les applications avec chevaux de Troie téléchargées sur des boutiques non sécurisées sont une autre menace des pirates sur les appareils Android. Les grandes boutiques d’applications Android (Google et Amazon) surveillent de près les applications proposées sur leur plateforme mais les malwares intégrés peuvent parfois déjouer leur surveillance, parfois à partir de sites fiables, ou plus fréquemment à partir de sites suspects. C’est de cette façon que votre téléphone finit pas héberger des adwares, des spywares, des ransomwares, (voir cet article) ou un grand nombre de malwares plus ou moins dangereux.

D’autres méthodes sont encore plus sophistiquées et ne nécessitent même pas qu’un utilisateur clique sur un lien corrompu. Le Bluehacking (piratage via des appareils Bluetooth) accède à votre téléphone quand celui-ci apparaît à portée d’un réseau Bluetooth non protégé. Il est même possible d’imiter un réseau de confiance ou un relais mobile pour rediriger les SMS ou les sessions de connexion. Et si vous laissez votre téléphone non verrouillé sans surveillance dans un lieu public, au lieu de simplement le voler, un pirate informatique peut le cloner en copiant la carte SIM, ce qui revient à lui ouvrir grand les portes de la forteresse.

Piratage des Mac

Les ordinateurs Apple (MacBook Air, MacBook, MacBook pro, Mac Mini, iMac) sont tout aussi exposés.

En 2017 a eu lieu une campagne d’hameçonnage visant les utilisateurs de Mac, principalement en Europe. Transporté par un cheval de Troie qui avait obtenu un certificat de développeur Apple valide, une fenêtre en plein écran déclarait qu’une mise à jour essentielle d’OS X était en attente d’installation. Si le piratage fonctionnait, les malfaiteurs obtenaient un accès total à toutes les communications de la victime, leur permettant d’espionner toute la navigation sur le Web, même les connexions HTTPS avec une icône de verrouillage.

En plus des attaques d’ingénierie sociale sur les Mac, la faille matérielle occasionnelle peut également créer des vulnérabilités, comme ce fut le cas avec les failles nommées Meltdown et Spectre que le journal The Guardian a signalées début 2018. Apple a répondu à ces failles de sécurité en développant des protections, mais a également conseillé à ses clients de télécharger les logiciels uniquement depuis des sources fiables, comme ses boutiques d’applications App et Apple Store, pour aider à empêcher les pirates informatiques de pouvoir exploiter les vulnérabilités du processeur.

Donc entre les virus, les malwares et les failles de sécurité, les pirates informatiques ont créé des kits d’outils complets pour mettre à mal votre Mac.

Prévention contre le piratage

Pour commencer, téléchargez un anti-malware efficace (ordinateur et téléphone) qui peut à la fois détecter et neutraliser les malwares et bloquer les connexions aux sites d’hameçonnage que vous soyez sous Windows, Android ou Mac, sur un iPhone, ou sur un réseau d’entreprise.

Deuxièmement, téléchargez uniquement les applications téléphoniques provenant de boutiques d’applications officielles qui font le ménage dans les applications qui transportent des malwares, comme Google Play et Amazon Appstore. La politique d’Apple permet uniquement aux utilisateurs d’iPhone d’effectuer des téléchargements sur l’App Store. Malgré cela, chaque fois que vous téléchargez une application, vérifiez d’abord les commentaires et les notes. Si les notes sont mauvaises et que le nombre de téléchargements est bas, il est préférable d’éviter cette application.

Sachez qu’aucune banque ou système de paiement en ligne ne vous demandera jamais de fournir vos identifiants de connexion, numéro de sécurité sociale ou numéros de carte bancaire par e-mail.

Que vous utilisiez votre téléphone ou un ordinateur, pensez à mettre à jour votre système d’exploitation ainsi que vos logiciels.

Évitez de vous rendre sur des sites Internet non fiables, et ne téléchargez jamais de pièces jointes non vérifiées ou ne cliquez jamais sur des liens dans des e-mails que vous ne reconnaissez pas.

Toutes les recommandations ci-dessous sont des règles universelles. Mais les hackers recherchent en permanence de nouveaux moyens de pénétrer votre système. Si un pirate informatique découvre un des mots de passe que vous utilisez pour plusieurs services, il dispose d’applications qui peuvent violer vos autres comptes. Alors utilisez des mots de passe longs et compliqués, n’utilisez pas le même mot de passe pour différents comptes, et utilisez plutôt un gestionnaire de mots de passe. (Voir cet article) Parce que même un seul compte de messagerie piraté peut être un véritable désastre pour vous et vos proches.